Mencari kebocoran dan kerentanan pada produk Anda tidak hanya menarik dan berguna, tetapi juga perlu. Bahkan lebih berguna untuk melibatkan spesialis dan penggemar eksternal dalam pencarian tersebut, yang tidak memiliki pandangan kabur yang sama dengan karyawan. Oleh karena itu, pada suatu waktu, kami di QIWI meluncurkan program bug bounty - peneliti menulis kepada kami tentang kerentanan dan menerima penghargaan, dan kami menutup kerentanan ini.
Beberapa kali kami dikirimi kode yang tersedia untuk umum dalam bentuk tautan ke repositori dengan informasi sensitif. Alasan kebocoran bisa jadi sebagai berikut:
pengembang menulis contoh kode pengujian untuk dirinya sendiri menggunakan konfigurasi layanan "produksi" - bukan lingkungan pengujian;
skrip yang diunggah admin untuk otomatisasi dan migrasi basis data - informasi yang berpotensi sensitif;
peserta tanpa sadar memposting kode ke penyimpanan publiknya, percaya bahwa itu tidak berisiko.
Pada saat yang sama, kebocoran tersebut bisa datang baik dari pengembang yang bekerja di perusahaan maupun dari mereka yang sudah berhenti. Misalnya, ada kasus ketika seorang karyawan yang tidak lagi bekerja untuk perusahaan memposting kode di repositori terbuka yang pernah dia bawa pulang untuk bekerja di waktu luangnya. Tampaknya - kedengarannya tidak berbahaya, tetapi di dalam kode semacam itu mungkin ada kata sandi dari database, konfigurasi jaringan atau semacam logika bisnis - secara umum, informasi sensitif untuk perusahaan yang seharusnya tidak tersedia untuk umum.
Seperti yang diperlihatkan oleh praktik, sebagian besar perusahaan sudah terlindungi dengan baik dari ancaman eksternal - dan ini adalah kebocoran internal yang dapat menyebabkan kerugian terbesar. Selain itu, kebocoran semacam itu dapat terjadi secara jahat dan tidak sengaja - dan inilah yang kami katakan di atas.
— : Firewall, SOC, IDS/IPS , — . , , — .
. , , .
QIWI Leak-Search — , Github .
— .
, : - , -, , . , — .
, . . -, , .
Leak-Search , , , . Fortune . , , , .
, . -: , , . , - , : , — .
, Leak-Search. “” ERP- — ? - “” IoT- — , ? “ ” — . .
QIWI Leak-Search
— . — , -, — , , . .
, , — , , , , , — .
, — . , - , — , .
. , , , .
Leak-Search , . :
— — smtp, Dockerfile, proxypass, Authorization;
— — com.qiwi.processing.common;
— — int.qiwi.com, 10.4.3.255;
— , — QIWISECRET_KEY, qiwiToken.
, , . - — , .
. , . Open Source: - . .
, , — «» .
StackOverflow — , , . . , , Github. , .
, , , - , , - Github — , . .
, ? , , . , , .
— killer feature . Leak-Search : , . -, . -, , , .
, , open source, , Github, . , Leak-Search “” .
, . Github — Leak-Search Gist. - Pastebin Gitlab, BitBucket. API.
, , — false positive, false negative. , .
“ ” . , , — , .
, Leak-Search . . Leak-Search , — .
, , Leak-Search , “”. — , , , -, .
, . , , . , — .
, , , , , IT, .
- , , — , .